荷兰特文特大学研究团队通过主动扫描 IPv4 开放 DNS 解析器，量化不同查询类型的放大倍数，发现仅修补约 20% 放大能力最强的解析器，即可将整体 DDoS 放大潜力降低 80%。
扫描与测试方法：现有 DNS 扫描数据集存在时效性不足等问题，研究团队自行发起全网扫描获取开放解析器列表。随后搭建受控权威服务器，针对收集到的解析器发送 8 类构造查询，涵盖 A、ANY、TXT 记录及 EDNS0 缓冲区大小（4096/16384 字节）、DO 位开关等组合，测量各查询的实际放大倍数。
放大倍数差异显著：实验结果显示，基础 A 记录查询放大因子仅 1.9；启用 EDNS0 且缓冲区 4096 字节的 ANY 查询达 32.4；当权威服务器返回 12 KB 响应时，ANY 查询放大因子飙升至 153.7。TXT 记录在 EDNS0 16384 字节下放大因子为 24.8。不同协议特性支持程度导致放大能力呈数量级差距。
头部效应与治理启示：统计分布呈现明显长尾特征，少量解析器贡献绝大部分放大流量。研究指出，若运营商优先关闭或修复放大因子最高的前 20% 解析器，理论上可消除 80% 的潜在放大攻击面。这为资源有限的治理工作提供了明确的优先级排序依据。
对网络工程师而言，限制递归查询仅面向自有前缀、关闭不必要的 ANY/TXT 查询响应、配置响应速率限制，可直接切断高放大向量，以最小成本实现最大防御收益。
原文: APNIC Blog（2022-05-13）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog